Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Python: CVE-2026-26030 / GHSA-xjw9-4gw8-4rqx: question on the PR:L component of the CVSS vector

Đang mở
  • Có gì không ổn?
#14,412 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 2 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
35/100
Loại issue
Tài liệu
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Sôi nổi
Công nghệ
python
Lĩnh vực
security

Hướng nghiên cứu

Bắt đầu bằng cách đọc advisory GHSA-xjw9-4gw8-4rqx và vector CVSS:3.1 trong issue, sau đó xem xét đánh giá SSVC cisagov/vulnrichment#336 được tham chiếu. Được xem là hoàn tất khi cung cấp lời giải thích có dẫn nguồn về ý nghĩa của PR:L trong bối cảnh chấm điểm này và giả định đó liên quan như thế nào đến giá trị Automatable.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

.NET python triage

Context

I'm trying to understand the reasoning behind the PR:L component in the CVSS vector for CVE-2026-26030 / GHSA-xjw9-4gw8-4rqx (InMemoryVectorStore filter RCE, fixed in python-1.39.4):

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

This isn't a request to change the score — I'm asking a downstream question about what CISA-ADP's SSVC Automatable assessment (currently no, see cisagov/vulnrichment#336) was likely built on, since CISA's own SSVC guide treats PR:L-style authentication requirements as a typical barrier to automation.

Question

What kind of privilege was PR:L meant to represent — an authenticated/permissioned call to the hosting application (something an anonymous internet user couldn't obtain), or just whatever minimal session/identity the hosting application happens to require before it will call the vector store at all, even if that's a free, unverified self-service signup?

I ask because for a common deployment pattern — a public-facing RAG chatbot where "logging in" just means starting a session with no identity verification — the practical barrier to reaching this code path may be much lower than PR:L usually implies. Knowing which assumption was used when scoring would help me understand (and pass along accurately) what the CVSS is actually saying about exploitability here.

Not urgent — mainly trying to reconcile the CVSS with the SSVC Automatable value assigned downstream. Thanks.

Ngôn ngữ chính
C#
Star
28.6k
Fork
4.8k
Merge trung bình
13 giờ 24 phút
Pull request đã merge (30 ngày)
11

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của microsoft/semantic-kernel

Tất cả issue của microsoft/semantic-kernel

Issue tương tự

Thêm issue về C#

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.